El malware Burntcigar funciona en conjunto con el ransomware
Burntcigar es una herramienta de malware que los ciberdelincuentes utilizan con frecuencia en ataques de ransomware, particularmente junto con la variante de ransomware Cuba. Burntcigar busca activamente nombres de procesos que parezcan estar vinculados a software antivirus (AV) o de detección y respuesta de endpoints (EDR) ampliamente reconocido. Posteriormente, incorpora los ID de proceso correspondientes de estos procesos identificados en una cola para su terminación en una etapa posterior de su operación.
Los ciberdelincuentes implementan periódicamente este software malicioso con el objetivo específico de ejecutar ataques de ransomware, con especial énfasis en infiltrarse en los entornos informáticos de víctimas desprevenidas.
Burntcigar exhibe un modo de operación inteligente, que incluye la explotación de vulnerabilidades encontradas en productos antivirus y de respuesta y detección de endpoints (EDR) bien establecidos. Una de sus estrategias notables implica apuntar deliberadamente a procesos asociados con estas soluciones de seguridad, seguido de la adición de sus ID de proceso a una lista para su terminación. Este movimiento estratégico conduce en última instancia a la desactivación de medidas de seguridad vitales en las máquinas comprometidas.
Además, Burntcigar es reconocido por su capacidad de comprometer la integridad de los sistemas informáticos explotando controladores de dispositivos y ejecutando código malicioso. En ocasiones específicas, se ha observado que explota las vulnerabilidades del controlador anti-rootkit de Avast, otorgando así acceso no autorizado a los sistemas específicos.
Además de estos exploits, se ha documentado que el malware utiliza archivos BAT (Batch) como medio para instalar controladores inseguros, creando así un punto de entrada para actividades malévolas orquestadas por ciberatacantes. Las posibles consecuencias derivadas de un encuentro con Burntcigar o cepas de malware similares son sustanciales y pueden tener repercusiones de gran alcance.
Principalmente, las víctimas pueden experimentar una gran pérdida de datos a medida que el malware cifra los archivos, haciéndolos inaccesibles sin una clave de descifrado. Además, existe un riesgo sustancial de pérdidas financieras, ya que los atacantes exigen habitualmente un rescate a cambio de la clave de descifrado. Esto, a su vez, sirve como incentivo para los ciberdelincuentes y magnifica aún más los riesgos asociados.
¿Cómo puede el malware eludir las soluciones antivirus?
Los desarrolladores de malware se adaptan y emplean continuamente diversas técnicas para evadir la detección de las soluciones antivirus. Si bien el software antivirus está diseñado para detectar y eliminar malware, no es infalible. A continuación se muestran varias formas en que el malware puede eludir las soluciones antivirus:
Código polimórfico: el malware puede utilizar código polimórfico, que cambia su apariencia cada vez que infecta un nuevo sistema. Esto dificulta que el software antivirus reconozca la firma o los patrones de comportamiento del malware.
Cifrado: el malware puede cifrar su código o comunicación para que parezcan datos inofensivos. Se descifra solo cuando se ejecuta, lo que dificulta que los programas antivirus inspeccionen la carga útil.
Ofuscación de código: los autores de malware pueden ofuscar su código para hacerlo más complejo y difícil de analizar. Esto puede incluir el uso de técnicas de empaquetado u ofuscación que oscurecen la verdadera intención del malware.
Malware sin archivos: el malware sin archivos opera en la memoria sin dejar huella en el sistema de archivos, lo que dificulta el software antivirus que depende del escaneo de archivos.
Explotaciones de día cero: el malware puede aprovechar vulnerabilidades en software o sistemas operativos que los proveedores de antivirus aún no conocen. Estos exploits de día cero permiten que el malware infecte los sistemas antes de que estén disponibles las actualizaciones o parches de seguridad.
Técnicas de rootkit: los rootkits pueden ocultar malware al alterar las funciones y API a nivel del sistema, lo que dificulta que el software antivirus los detecte o elimine.
Carga dinámica: el malware puede cargar dinámicamente código malicioso en procesos legítimos, haciendo que parezca que el proceso legítimo se comporta normalmente mientras ejecuta acciones maliciosas.
